Lỗ hổng zero-day trong mod_http2 của Apache HTTP Server bị khai thác

Apache đã phát hành phiên bản 2.4.71 để sửa lỗ hổng zero-day trong mod_http2, có thể dẫn đến Remote Code Execution (RCE). Lỗ hổng này ảnh hưởng đến các máy chủ chạy từ phiên bản 2.4.55 đến 2.4.70 của Apache HTTP Server. Không cần chứng thực hoặc tương tác người dùng, kẻ tấn công có thể khai thác lỗ hổng này để thực thi mã từ xa.

Nội dung chính

• Apache HTTP Server 2.4.55 đến 2.4.70 có lỗ hổng zero-day trong mod_http2.
• Lỗ hổng này có thể dẫn đến Remote Code Execution (RCE).
• Không cần chứng thực hoặc tương tác người dùng để khai thác lỗ hổng.
• Red Hat đã gán điểm CVSS 3.1 là 9.8 cho lỗ hổng này.

Chi tiết sự việc

apache software foundation đã phát hành apache http server 2.4.71 để sửa lỗ hổng zero-day trong mod_http2, dẫn đến khả năng thực thi mã từ xa (rce). bất kỳ máy chủ nào chạy httpd 2.4.55 đến 2.4.70 với http/2 kích hoạt đều có thể bị ảnh hưởng, và kẻ tấn công không cần thông tin đăng nhập hoặc tương tác người dùng.

lỗ hổng này nằm trong hàm assign_headers() của mod_http2, nơi hai luồng xử lý traffic http/2 có thể chạm vào cùng một bộ nhớ mà không có sự phối hợp thích hợp, dẫn đến sự cố heap. một luồng có thể viết vào bộ nhớ thuộc về luồng khác.

apache chưa công bố chuỗi yêu cầu kích hoạt sự cố này, và fix commit là chi tiết kỹ thuật duy nhất từ dự án. thực thi mã sẽ chạy trong ngữ cảnh của quá trình worker httpd, thường là tài khoản dịch vụ không đặc quyền; đạt đến quyền root sẽ yêu cầu một sự nâng cấp đặc quyền riêng biệt.

lỗ hổng này ảnh hưởng đến các phiên bản từ 2.4.55 đến 2.4.70 của apache http server (bundled mod_http2) và phiên bản standalone mod_h2 từ 2.0.8 đến 2.0.42. phiên bản 2.4.71 đã được phát hành vào ngày 11 tháng 11 năm 2026.

lỗ hổng này phụ thuộc vào cấu hình. máy chủ phải tải mod_http2 và liệt kê h2 (http/2 qua tls) hoặc h2c (http/2 rõ ràng) trong chỉ thị protocols, hoặc toàn máy chủ hoặc trong một đơn vị ảo duy nhất. http/2 chỉ chạy ở nơi chỉ thị này kích hoạt nó.

apache đã sửa năm lỗ hổng mod_http2 trong năm 2026, bao gồm cve-2026-119618, cve-2026-23918, cve-2026-48913, cve-2026-49975 và cve-2026-57941.

apache đánh giá lỗ hổng này là critical mà không công bố điểm số. red hat gán cho nó một điểm số cvss 3.1 cơ sở là 9.8, phản ánh một cuộc tấn công mạng với độ phức tạp thấp và không yêu cầu quyền truy cập hoặc tương tác người dùng.

red hat đánh giá vấn đề này quan trọng cho rhel 9 và rhel 10 vì các bản xây dựng của nó cho mỗi stream http/2 một bộ nhớ phân bổ riêng biệt, điều mà công ty nói làm việc dụng khó khăn hơn. rhel 8 và trước đó không bị ảnh hưởng.

các bằng chứng cho thấy red hat đã công bố một cuộc tấn công có thể tái tạo đối với một máy chủ cấu hình mặc định với mod_http2 kích hoạt, nhưng không xác định hoặc liên kết nghiên cứu đó. các nhà nghiên cứu độc lập không thể tìm thấy một bản concept công khai hoạt động, và không có bản concept hoạt động đã được xác minh độc lập.

không có cuộc tấn công thực tế hoặc sự cố đã được báo cáo.

cisa kev không có cve-2026-119618 trong danh mục các lỗ hổng đã được khai thác vào ngày 13 tháng 11 năm 2026.

công ty credentialed ai đã báo cáo sự cố này vào ngày 26 tháng 10 năm 2026, và anthony weems và simon scannell của google cloud vulnerability research báo cáo vào ngày 3 tháng 11. fix và phiên bản 2.4.71 được phát hành vào ngày 11 tháng 11, 16 ngày sau khi báo cáo đầu tiên.

Lỗ hổng zero-day trong mod_http2 của Apache HTTP Server đã bị khai thác, tạo ra điều kiện cạnh tranh dẫn đến quyền kiểm soát hệ thống (RCE) cho phiên bản từ 2.4.55 đến 2.4.70. CVE-2026-119618 đánh dấu mức độ nghiêm trọng là 'critical'.

Ngoài ra, CVE-2026-106023 với mức độ 'important' liên quan đến mod_md, gây ra sự trỏ sai con trỏ NULL dẫn đến sự cố quá trình con, ảnh hưởng đến phiên bản từ 2.4.30 đến 2.4.70. CVE-2026-109163 với mức độ 'low' liên quan đến mod_vhost_alias, gây ra sự cố đệm stack 1-byte, ảnh hưởng đến phiên bản từ 2.4.69 đến 2.4.70.

Hầu hết các máy chủ sản xuất chạy gói phần mềm Linux phân phối, không phải phiên bản gốc, và tình trạng khác nhau đáng kể vào ngày 12 và 13 tháng 11. Red Hat đã sửa chữa cho RHEL 9 và RHEL 10, nhưng JBoss Core Services và Red Hat Hardened Images vẫn bị ảnh hưởng mà không có giải pháp. Debian đã sửa chữa cho sid và trixie, nhưng bookworm và forky vẫn còn bị ảnh hưởng. Amazon Linux, AL2, AL2023 và AL2027 preview, đang chờ sửa chữa. Ubuntu chưa có thông báo về CVE.

Distributions thường backport các sửa chữa an ninh mà không thay đổi chuỗi phiên bản gốc. Một công cụ quét chỉ ra mỗi httpd dưới 2.4.71 sẽ tạo ra kết quả giả. Xác nhận sửa chữa theo thông báo của từng nhà cung cấp hoặc nhật ký gói.

Nếu phải chờ sửa chữa, Apache không có cách làm việc tạm thời. Nghiên cứu đề xuất xóa h2 và h2c từ chỉ thị Protocols, để lại Protocols http/1.1, hoặc gỡ bỏ mod_http2 cho đến khi có gói sửa chữa. Kiểm tra mỗi host ảo, vì một khối duy nhất tái kích hoạt HTTP/2 giữ máy chủ bị phơi bày.

Trước khi thay đổi, hãy xác nhận rằng không có dịch vụ phụ thuộc vào HTTP/2. gRPC backend và ứng dụng dựa vào h2c nâng cấp sẽ bị hỏng khi HTTP/2 được tắt. Khách hàng đàm phán HTTP/2 thông qua ALPN sẽ tự động chuyển về HTTP/1.1.

SOCRadar có thể giúp xác định các máy chủ Apache internet-facing và hiểu rõ hơn về những máy chủ cần kiểm tra kỹ hơn.

SOCRadar Exposure Management giúp đội ngũ phát hiện các máy chủ Apache internet-facing trên các miền và con công ty của họ, bao gồm các máy chủ bị bỏ qua không có trong danh sách nội bộ.

SOCRadar Cyber Threat Intelligence theo dõi khả năng khai thác, thay đổi KEV, và hoạt động tấn công liên quan đến CVE-2026-119618, giúp đội ngũ điều chỉnh ưu tiên sửa chữa dựa trên bằng chứng mới.

Chung lại, những khả năng này giúp đội ngũ thu hẹp điều tra và ưu tiên khắc phục. Xác nhận cài đặt HTTP/2 và phiên bản gói thông qua kiểm tra cấp máy chủ và thông báo nhà cung cấp.

Bước thực tế cho đội ngũ máy chủ web

Sửa chữa trước: Cập nhật lên Apache httpd 2.4.71 hoặc cài đặt gói phân phối đã sửa chữa khi nó sẵn sàng

Khuyến nghị

• Cập nhật lên phiên bản 2.4.71 của Apache HTTP Server.
• Kiểm tra và điều chỉnh cấu hình Protocols để loại bỏ h2 và h2c.
• Kiểm tra và thay thế module mod_h2 standalone nếu có.
• Theo dõi các dấu hiệu cố định của quá trình con trong log lỗi httpd.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn SOCRadar. Vui lòng đối chiếu bài gốc trước khi sử dụng.